配置SAML2：保留OpenSaml4AuthenticationProvider默认设置并绕过InResponseTo验证

完全可以在保留OpenSaml4AuthenticationProvider默认验证逻辑的同时，禁用InResponseTo验证。最佳方式是通过自定义SAML2验证器，复用默认校验逻辑仅跳过InResponseTo的检查，具体步骤如下：

1. 自定义SAML2验证器 #

继承默认的OpenSaml4AuthenticationValidator，重写inResponseToValidation方法，直接返回空错误集合以跳过该验证：

import org.springframework.security.saml2.provider.service.authentication.OpenSaml4AuthenticationValidator;
import org.springframework.security.saml2.provider.service.authentication.Saml2AuthenticationToken;
import org.springframework.security.saml2.provider.service.authentication.Saml2Error;

import java.util.Collections;
import java.util.List;

public class CustomSaml2AuthenticationValidator extends OpenSaml4AuthenticationValidator {

    @Override
    protected List<Saml2Error> inResponseToValidation(Saml2AuthenticationToken token) {
        // 跳过InResponseTo验证，返回空列表代表验证通过
        return Collections.emptyList();
    }
}

2. 替换默认认证提供者 #

在Security配置中，创建自定义的OpenSaml4AuthenticationProvider并绑定上述验证器，然后替换默认的认证管理器：

@Configuration
public class ApplicationConfiguration {

    @Autowired
    SamlSuccessHandler successHandler;

    @Bean
    SecurityFilterChain configure(HttpSecurity http) throws Exception {
        // 初始化自定义验证器
        OpenSaml4AuthenticationValidator customValidator = new CustomSaml2AuthenticationValidator();
        // 配置自定义认证提供者
        OpenSaml4AuthenticationProvider customProvider = new OpenSaml4AuthenticationProvider();
        customProvider.setAuthenticationValidator(customValidator);

        return http.authorizeHttpRequests(authorize -> authorize
                .anyRequest().authenticated()
        ).saml2Login(saml2 -> {
            saml2.loginProcessingUrl("/saml/SSO")
                    .successHandler(successHandler)
                    // 设置自定义认证管理器
                    .authenticationManager(new ProviderManager(customProvider));
        }).build();
    }
}

注意事项 #

• 该方案保留了OpenSaml4AuthenticationProvider的所有默认校验逻辑（如签名验证、断言有效期、受众匹配等），仅禁用InResponseTo验证，完全符合你的需求。
• 禁用InResponseTo验证会失去针对重放攻击的防护能力，建议通过以下方式弥补：
  • 依赖断言自带的NotBefore/NotOnOrAfter时间戳验证（默认已开启）
  • 若条件允许，在Nginx层配置会话粘滞，确保同一用户的请求落到同一实例

内容的提问来源于stack exchange，提问作者Sumeet Kumar Yadav